Попробуйте программы для клиник с сайта www.apdent.ru
Для небольших локальных сетей (20-30 раб.ст.) вполне годятся. И цены там вполне приемлемые.

На указанном сайте отсутствует информация, сертифицировано ли предлагаемое программное обеспечение ФСТЭК для работы с персональными данными. Сегодня это очень важная конкурентная информация. Если не указано, возможно, что не сертифицированы.

Кстати, об Access. Он практически негоден для коллективной работы, хотя формально и позволяет это делать. Для коллективной работы следует установить сервер баз данных (пусть даже на одной из рабочих станций под Windows XP, а не на специализированном сервере). Например MS SQL Sever, Oracle, MySQL (список не исчерпывающий). Для первых двух коммерческих продуктов имеются бесплатные версии (с ограничениями на размер базы данных в 4 Гб), а третий продукт - бесплатный. Создание базы данных в данных продуктах лишь немногим сложнее Access благодаря имеющимся бесплатным средствам администрирования и поддержки. Недавно консультировал аналогичный учебный проект. Кого интересует, могу дать ссылки.

К примеру, можно загрузить бесплатную версию SQL Server 2008 (все компоненты, в т.ч. SQL Server Management Studio и вся документация - на русском языке), взять известную книжку Д.П. Мак-Мануса с соавт. и прямо по книге проделать ряд шагов по принципу "укажи мышкой и кликни". Хотя в книге даны примеры для английской версии 2000 (а приведенный пример типичной базы данных управления заказами может быть легко адаптирован - карточка пациента, включая паспортную часть и посещения - та же система управления заказами), но все совершенно очевидно и в имеющейся русской версии 2008. Для других серверов (в дополнение к упомянутым - также SQLite) все немногим сложнее.

В предыдущем посте я давал ссылку на прогноз затрат на реализацию законодательства "О персональных данных". Много это или мало? Все познается в сравнении. Вот тут статья о затратах на здравоохранение в России http://ethnocid.netda.ru/analitika/akchurin.htm. См. раздел 2 "Финансирование здравоохранения".

Сообщение отредактировал Игорь - 11.06.2009 - 06:22

Пройдет ли? То, что данные о ФИО вынесены в отдельную БД по существу означает лишь физическое разделение данных и способ их хранения. Насколько я понимаю, для ввода и просмотра информации о конкретном пациенте на уровне приложения будет происходить объединение необходимых сведений. Т.о., система будет автоматически попадать под требования сертификации по классу К1.
Опять таки, насколько понял сами постановления, любая система, позволяющая автоматически сопоставить ФИО и медицинские данные, попадает по сертификацию.

P.S.
В постановлениях есть пункт об обязательной фиксации: кто, когда, к чему и для чего получал доступ. Есть ли сейчас в ваших медицинских системах подобное? В используемых в Белоруссии, насколько я знаю, подобного нет.

Конечно, не пройдет. Потому я и поправился в начале.

Если исходить из реальностей и из того предположения, что ФСТЭК и ФСБ будут исполнять законы как положено (а они всегда так и поступают), фактически идея использования госпитальных информационных систем (тем более полный переход на электронные истории болезни) становится мифом (как и обсужденный выше национальный стандарт - бесполезным). Большую неосторожность совершили те клиники и/или территории, которые имели нетерпение сделать это. Например, в свое время мы с очень большим интересом изучали опыт Воронежа, Татарстана, где были большие достижения в рассматриваемой области. Оказалось, зря. Самое интересное, что никаких распоряжений Минздрава на счет создания электронных историй болезни никогда, насколько нам известно, не было. Всегда и везде это были чьи-то личные инициативы, граничащие, как теперь оказывается, с нецелевым использованием бюджетных средств, что, как известно, является уголовным преступлением.

Компьютерам, однако, использование в клинике не заказано. Выше я давал ссылку на сайт компании AKSIMED. Компания бесплатно предлагает набор шаблонов для оформления клинической документации. Подобные же самодельные шаблоны (без использования каких-либо баз данных - т.е. после ввода и печати, скажем, выписки, ни в какой базе информация о пациенте не сохраняется и тут же уничтожается) применяют много врачей, лаборантов и сестер. Уже одно это, по нашему опыту, сильно экономит время клиницистов и работников лабораторий.

Закон "О персональных данных" суров, но вряд ли кто возразит, что он справедлив и необходим для пресечения той информационной вакханалии, которой мы все оказались свидетелями. Средств на его реализацию в медицине, однако, нет и не будет в ближайшие лет 50, а значит - никогда. Поэтому, например, буквально недавно при составлении задания на проектирование корпоративной информационной системы в одной из клиник, как мне стало известно в беседе с коллегами, было принято решение оставить в системе только финансовую и документальную часть, полностью отказавшись от использования каких-либо персональных данных пациентов. Поэтому карточка пациента будет применяться исключительно в бумажном варианте, несмотря на прекрасную оснащенность клиники компьютерами и отличным сетевым оборудованием. В общем-то, ничего страшного не произошло. Компьютерам и без того работа найдется.

Где клинические базы данных незаменимы - это медицинские научные исследования. Но тут ситуация намного проще. В любой медицинской публикации данные случаев из практики всегда обезличены. Это требования медицинской этики. Поэтому научные медицинские базы данных без проблем могут и должны быть обезличенными, как это уже обсуждалось выше.

Сообщение отредактировал Игорь - 11.06.2009 - 17:03

Администратор в любом случае может скопировать базу данных целиком. А именно целиком она и представляет интерес для злоумышленников. Таким образом, найдя на рынке соответствующее предложение, у правоохранительных органов не должно быть проблемы в поиске, кто виноват в краже - это только администратор баз данных учреждения - его и нужно сажать в тюрьму.

Вот что дает соответствующий запрос на сайте Oracle http://www.oracle.com/technology/deploy/se...valuations.html.
Т.е., ознакомившись с сертификатами (почти 10 лет, как просроченными), можно сделать вывод, что сертифицированы (предшественником ФСТЭК) не серверы Oracle как таковые, а 2 (!) конкретных экземпляра Oracle, под конкретную конфигурацию оборудования (UNIX сервер HP) и с конкретным дополнительным ПО. Из данной информации делаем вывод, что ни одно решение по МИС, предлагаемое ныне на данном рынке, требованиям не соответствует. Хотя конкретное решение может быть сертифицировано самим разработчиком прикладного ПО, информации о такой сертификации не представлено.

Сообщение отредактировал Игорь - 30.06.2009 - 13:50

В том то и дело, что при использовании DB Vault (и его аналогов) администратор, имея доступ к физическим файлам, доступа к данным может и не иметь (в отличие от ситуации, когда DB Vault не установлен). Т.е., физическое копирование файлов не имеет смысла.

Действительно, по данным Интернета (кстати, ни слова на официальном сайте Oracle - следовательно, сертифицирована не серия - см. ниже) Oracle 11g R1 (11.1.0.7) + опция Database Vault сертифицирована (номер сертификата 1849 от 25.05.2009) по требованиям ФСТЭК России для защиты персональных данных (152-ФЗ) до класса 2, включительно. Но в данной информации опять же - непонимание сути сертификации в России. Если одна копия, представленная на сертификацию, сертифицирована, то это не значит, что сертифицирована вся серия продуктов (хотя такое и возможно). При покупке продукта нужно учесть, что 1) у конкретного образца должен быть сертификат и 2) срок действия сертификата ограничен. Т.е., после окончания срока действия сертификата придется 1) приобрести новый продукт или 2) продлить сертификат на конкретный продукт (тут могут быть сложности - например, в свое время была сертифицирована Windows XP SP1 - сегодня о безопасности такой системы можно рассуждать лишь с улыбкой; грубо говоря, продукт портится со временем, т.к. изобретаются новые угрозы, что справедливо и удостоверяет сертификат).

Еще немного о сертификации. Скажем, вы ставите на компьютер сертифицированную версию Windows и намерены безопасно работать в Интернете... если вы, конечно, информационный "самоубийца" - минут на 5 вас хватит. Вы не можете установить сертифицированную версию Windows и безопасно работать, не установив дополнительно файервол и антивирус. Т.о., хоть какая-то минимальная безопасность обеспечивается при наличии других программных продуктов, помимо сертифицированной версии Windows. Вот мы и доказали, что сертификация одного продукта - профанация идеи информационной безопасности. Сертифицироваться должен конкретный программно-аппаратный комплекс + комплекс организационных мероприятий, и никак иначе. Причем сертификация касается всей номенклатуры применяемых программ - например, хочешь ICQ на рабочем месте - сертифицируй ICQ во ФСТЭК - причем и сервер в Калифорнии, и все 30 млн. клиентов. Хочешь mail.ru агента - аналогично. Хочешь Total Commander - и его тоже. Захотел Microsoft Office - есть сертифицированная версия. А захотел статистику посчитать в AtteStat для Excel - сертифицируй AtteStat (обратите внимание на последний раздел Лицензионного соглашения AtteStat - он там с 2002 года).

Вот тут попалась информация по Database Vault http://www.aladdin.ru/press-center/publica...cation19697.php. Цитата из нее: "... проблема, в принципе, могла бы быть решена с помощью совместного использования опций TDE и Oracle Database Vault, но в этом случае полномочия администратора СУБД плавно перетекают к администратору Database Vault, т.е. проблема защиты от привилегированных пользователей сохраняется". Так можно бесконечно контролировать друг друга. Безопасная система должна быть построена так, чтобы ее невозможно (или не нужно) было украсть.

Сообщение отредактировал Игорь - 1.07.2009 - 13:13

1. Я как раз об этом и писал ранее. Более того, в сертификате (вернее, в сопроводиловке) должны быть оговорены и условия замены оборудования в случае выхода из строя каких-то компонент. И Вы совершенно правы, что, если брать ad maximum, то можно, к конце концов, дойти до маразма.

2. Лично я указанную информацию с aladdin'а воспринимаю с хорошей долей скептицизма. Причина проста -- предлагаемые ими продуктыявляются конкурентами, в частности, DB Vault.

Одна из причин разработки средств типа DB Vault -- избыточные полномочия администратора БД. Желаемый принцип -- администратор БД должен управлять БД, а не ее содержимым. Происходит разделение полномочий: админ может скопировать файлы, но не может получить доступ к информации. Офицер по безопасности (в терминах Оракл) имеет доступ к управлению видимостью информации, но не имеет доступа к файлам.

Думаю, наша беседа в данной теме была продуктивной и интересной, т.к. обсуждалась проблема, которая касается всех медицинских работников. Но я лично затруднялся, как назвать все то, перед чем нас поставил законодатель. С одной стороны, важно защищать персональные данные, с другой - обрабатывая медицинские персональные данные, закон выполнить нет никакой возможности. И тут подоспела аналогия. Как ни странно, это - закон об игорном бизнесе.

Попалась свежая публикация, которая для меня решила вопрос. http://newsru.com/finance/03jul2009/montenegro.html Суть публикации - в России запрещен игорный бизнес. Если издается закон, ставящий неприемлемые, невыполнимые условия бизнесу - фактически это закон о запрещении данного вида бизнеса. Что такое закон о персональных данных для медицины? Фактически это закон о запрете медицинских информационных систем.

Данные о состоянии здоровья (включая факт обращения за медицинской помощью) относятся к конфиденциальным, поэтому в поликлинике их как раз полно.

Мы обсуждали (последнее время в данной теме) юридические аспекты. Поэтому просьба дать ссылку на законодательные акты, подтверждающие данный тезис.

УКАЗ Президента РФ от 06.03.1997 N 188 (ред. от 23.09.2005)
"ОБ УТВЕРЖДЕНИИ ПЕРЕЧНЯ СВЕДЕНИЙ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА"
п.4
"Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее)."

ст. 61 Основ законодательства Российской Федерации об охране здоровья граждан:
"Информация о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозе его заболевания и иные сведения, полученные при его обследовании и лечении, составляют врачебную тайну. Гражданину должна быть подтверждена гарантия конфиденциальности передаваемых им сведений."

Достаточно?

Да, конечно, спасибо.

Мы считаем, что для реализации данных законов достаточно стандартных аппаратно-программных средств и стандартных же процедур, утвержденных органами управления здравоохранением (мое личное мнение - достаточно уровня учреждения).

Сообщение отредактировал Игорь - 4.07.2009 - 09:06

ПРИКАЗ ФСТЭК РФ N 55, ФСБ РФ N 86, Мининформсвязи РФ N 20 от 13.02.2008 ?ОБ УТВЕРЖДЕНИИ ПОРЯДКА ПРОВЕДЕНИЯ КЛАССИФИКАЦИИ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ? (Зарегистрировано в Минюсте РФ 03.04.2008 N 11462)
"определяются следующие категории обрабатываемых в информационной системе персональных данных:
категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;"

ст. 22 Закона 152-ФЗ (О персональных данных)
"Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных..." и там истории болезни нет, т.е. данные истории болезни не могут обрабатываться без уведомления уполномоченного органа, а далее - см выше.

По приказу (приказ трех) данные отнесены к специальным информационным системам
"К специальным информационным системам должны быть отнесены информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;"

Соответственно, явно идет в дело Постановление Правительства Российской Федерации от 31 августа 2006 г. ? 532 ?О лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации?

А там:
"3. Лицензионными требованиями и условиями при осуществлении деятельности по разработке и (или) производству средств защиты конфиденциальной информации, лицензирование которой отнесено к компетенции Федеральной службы по техническому и экспортному контролю, являются:
а) наличие в штате соискателя лицензии (лицензиата) специалистов, имеющих высшее профессиональное образование в области технической защиты информации либо высшее или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации;
б) наличие у соискателя лицензии (лицензиата) помещений для осуществления лицензируемой деятельности, принадлежащих ему на праве собственности или на ином законном основании;
в) выполнение требований конструкторской, программной и технологической документации, единой системы измерений, системы разработки и запуска в производство средств защиты конфиденциальной информации, а также иных нормативных правовых актов Российской Федерации в области технической защиты информации;
г) соответствие помещений, производственного, испытательного и контрольно-измерительного оборудования, предназначенных для осуществления лицензируемой деятельности, техническим нормам и требованиям по технической защите информации, установленным нормативными правовыми актами Российской Федерации;
д) наличие нормативных правовых актов, нормативно-методических и методических документов по вопросам разработки средств защиты информации в соответствии с перечнем, установленным Федеральной службой по техническому и экспортному контролю. "


Так что органы управления здравоохранением тут не при чем, лицензирование - не их компетенция

Ситуация 1 (касательно Основ законодательства Российской Федерации об охране здоровья граждан). Пациент экстренно госпитализируется. В соответствии с законом передача больницей информации о его местонахождении в данном лечебном учреждении родственникам пациента без согласия пациента (пусть даже такое согласие получить нельзя ввиду тяжелого состояния пациента) является нарушением закона? Да и гарантию пациенту в данном случае подтвердить затруднительно. Тогда уже сейчас нужно судить каждого главного врача, ибо в каждой больнице список пациентов (= факт обращения) по палатам и отделениям (= почти диагноз) вывешен в приемном покое и с пациентов согласие на включение в данный список вряд ли получено. А недавнее нововведение в популярной программе "Жди меня" - фото и диагноз пациента, потерявшего память, были [успешно] использованы публично для поиска его родных - с точки зрения цитируемого закона - вообще уголовщина. Представляется, что закон оторван от реальности.

Ситуация 2 (касательно закона о персональных данных). Как вы думаете, что бы выбрал пациент: а) его данные будут занесены в несертифицированную информационную систему или б) его данные будут занесены в сертифицированную информационную систему, но ему придется заплатить за прием 1000 руб. (в пользу сертифицирующего органа), или в) никакой информационной системы нет, но в очереди придется посидеть часа 2 и качество обслуживания ухудшится на 20%? Причем информационная система и в том, и в другом случае - одна и та же (выше я уже давал ссылку на официальную позицию компании Microsoft - у других поставщиков ситуация, уверен, аналогична). Наверное, все граждане выбрали бы вариант а) - закон, правда, этого им сделать не позволит. Законодатель, естественно, хотел вариант б) - 100 млрд. рублей на дороге не валяются (выше я также давал ссылку). А реализован, к сожалению, будет вариант в), т.к. денег нет. Как всегда - один хочет одного, другой - другого, а получится то, чего не хочет ни тот, ни другой. Кстати, деньги были бы, если бы последним пунктом закона было: "Минфину выделить целевым порядком необходимое бюджетное финансирование в размере 100 мрд. рублей". Представляется, что закон также оторван от реальности.

Вообще, нехорошо, когда законы либо в принципе не работают, либо одномоментно делают преступниками десятки тысяч человек. Что-то не то с законами. Понятно, закон работает в данном случае на предотвращение преступления. Но мероприятия по предотвращению преступления не должны наносить ущерб больший, чем само предполагаемое преступление. Не правильно, предполагая преступление или даже основываясь на единичных реализованных преступных случаях, терроризировать или лишать определенных прав всех законопослушных граждан. Если декларируемая цель мероприятия не достигается, значит реальная цель была другая. Разве что целью не является борьба с преступностью путем отнятия у преступника (превентивного уничтожения) объекта его посягательства. Нет объекта - не будет и преступления?

В комментариях и обсуждениях можно найти информацию, что законодательство о персональных данных было принято с целью гармонизации отечественного законодательства с международным (европейским, в частности). На самом деле, это неправда. Докажем на примере главного отличия. Отечественная система сертификации ПО принципиально отличается от европейской (международной). Отличие в том, что в России сертифицируется каждый экземпляр продукта. Компания Microsoft, например, приняла такой порядок с нескрываемым восторгом. Организация, владеющая 300 компьютерами, могла бы купить корпоративную лицензию Windows (+ различные скидки, в зависимости от статуса организации) по причине того, что сама Windows уже сертифицирована на соответствие европейским критериям безопасности. Это в Европе. У нас организация вынуждена покупать 300 сертифицированных коробок устаревшей (срок получения сертификата - до 1 года, кроме того, парадокс - пакет обновлений за 1 год с точки зрения отечественного закона ухудшает информационную безопасность) профессиональной версии, что в разы повышает стоимость уже не нового ПО. Далее, для оперативного и дешевого обновления Windows организация ставит сервер WSUS (кстати, бесплатный - рекомендую), ибо о безопасности Windows как операционной системы можно рассуждать лишь теоретически и с улыбкой. В России сервер WSUS не сертифицирован - значит, вне закона ключевой элемент безопасности корпоративной сети (второй ключевой элемент - сервер администрирования антивируса - не слышал, чтобы он был тоже сертифицирован), поэтому с некоего специального сервера будет обновляться каждая копия. Не нужно доказывать, что такая схема в разы же уменьшает реальную безопасность (в сеть выходит каждый компьютер либо программист вручную ставит обновления на все рабочие станции, причем со значительной задержкой выпуска) и во столько же увеличивает стоимость владения (на 300 компьютеров при централизованном управлении достаточно одного сетевого администратора - при ручном надо будет человек 15).

По поводу предыдущего абзаца мне могут возразить, что система сертификации не относится к закону о персональных данных. Сразу отвечу. Если закон отдает сертификацию "на откуп" подзаконным актам, то эти акты и система сертификации относятся к обсуждаемому закону. Точнее сказать, должен обсуждаться в этом случае не сам закон в отдельности, а пакет законов о персональных данных. К исполнению также обязателен именно пакет законов и подзаконных актов. Это - одно целое.

Наверное, мы к этой проблеме вернемся (собственно, это и будет основной и единственной проблемой). Но уже сейчас весьма напрягает отсутствие системы критериев, по которым производится проверка организации. В принципе, имея всё сертифицированное оборудование и ПО, железную дверь и решетки на окнах регистратуры, оформленную документацию о допусках, электронные ключи, все лицензии, к вам может, скажем, возникнуть вопрос - а сертифицирован ли у вас кабель "витая пара" (кто не знает - применяется для сетевых соединений)? Нет? А вот нате Вам: штраф, предупреждение о грядущем закрытии учреждения, изъятие всех компьютеров на 3 месяца для проверки и т.д., т.п. Не верится? А зря. С месяц назад приходила группа (не скажу - мошенников) специалистов с предложением услуг по разработке информационной системы. Первым (даже не взглянув) было - а мы Вам весь кабель (10 км) заново проложим, т.к. у Вас кабель, наверное, не той модели. Как? У вас категории 5e, а также оптика и все оборудование сертифицировано? Ну все-равно переложим, т.к. наша информационная система будет работать только с нашим кабелем. После чего направились к руководству, сообщили им о низкой квалификации всех программистов и персонала и пообещали решить проблему за несколько десятков (!) миллионов рублей. Список не исчерпывающий: есть еще коннекторы, кабель-канал, коридоры, по которым проходит кабель-канал, столбы подвески, грозоразрядники, улица, которую пересекает подвешенный кабель (а по улице шпионы и хакеры на автомобилях ездят), коврик для компьютерной мыши и стол, по которому она ползает.

Кто же мешает задать тот же вопрос проверяющими? Закон позволяет.

Ловим шпионов в поликлинике. А тем временем в интернете циркулирует снятое мобильником фото певицы Людмилы Зыкиной, тайно сделанное в морге. Вот так - закон в [без]действии. Или теперь уже не 100 миллиардов нужно, а 200?

Кстати, вот чем может закончиться сертификация оборудования:

Сообщение отредактировал Игорь - 6.07.2009 - 14:04